為“裸跑”在網絡中的人臉信息加上外衣

王雪情 胡玉晶 黃穎

摘要：人臉識別技術作為人工智能發展的一項創新型應用，給社會發展帶來變革的同時也逐漸顯露出問題。其在給人們帶來娛樂、便利、高效的同時也伴隨著信息泄露、信息售賣、信息歧視等一系列信息安全問題。本文在探討信息安全管理現狀的基礎上，發現了人臉識別信息保護淺易、發展受限、識別簡易等管理障礙并探究信息安全管理的趨勢：法律環境規范化、管理原則具體化、個人主導地位強化、區塊鏈助力網絡信任化和螺旋式全方位管理。

關鍵詞：人臉識別技術;信息安全問題;管理現狀;管理障礙;區塊鏈助力網絡信任化;螺旋式全方位管理

中圖分類號：TP301 文獻標識碼：A

文章編號：1009-3044（2020）14-0218-03

1引言

人臉識別是基于人的臉部特征信息進行身份驗證的一種生物識別技術，其作為人工智能（AI）的一項重要發展技術，目前已滲入到人們生活的多個方面，如業務辦理、門禁系統、刷臉支付、刷臉登錄等的身份認證、身份識別;美顏自拍、視頻直播等的人臉特效功能;工人工作、學生學習過程中的注意力分析;罪犯偵察、安防監控等的人臉搜索和對比等。人臉識別技術在給人們生活帶來更多娛樂、便利、高效的同時，因人臉自身的特殊敏感性也引發了一系列社會問題，尤其是個人信息安全問題。下面本文將以人臉識別技術引發的信息安全問題為中心，對目前信息管理的現狀、障礙、趨勢進行探討。

2信息管理安全問題

2.1信息泄露

人臉識別技術通過帶有攝像頭的終端設備拍攝人的面部圖像，進行面部識別對比、匹配，達到身份驗證的效果。目前社會已有很多企業、商家參與到人臉識別的應用中，以此作為優化服務、提升競爭力的創新途徑。但由于人臉特征信息屬于高敏感性信息，且社會上總存在不法人員利用不法手段獲取個人信息的不法行為，因而企業商家不當獲取人臉信息難免會引發人們不滿和恐慌。

近日，“中國人臉識別第一案”在法院的正式受理大規模地引發了人們對信息泄露的恐慌。根據《北京青年報》等媒體報道，杭州野生動物世界在未與消費者進行任何協商和未征得同意的情況下，限制未注冊人臉識別的用戶人園。由此可見，該企業在對消費者個人信息的保護方面沒有給予消費者選擇的權利，這顯然違反了《消費者權益保護法》的第29條規定，即經營者收集、使用消費者個人信息，應當遵循合法、正當、必要原則，明示收集、使用信息的目的、方式和范圍，并經消費者同意。

企業在合法采集人臉信息的同時更要注重對人臉信息進行有效的保護，否則后果難以想象。據相關媒體報道，2019年2月荷蘭某安全研究員公開表示中國一家面部識別公司SenseNets（即深網視界）未對內部數據庫做密碼保護，導致信息泄露。此次信息泄露事件主要涉及超過250萬人信息的數據庫，其中包含用戶身份證數據、照片、工作等基本信息，同時還可動態記錄個人位置信息。根據《民法總則》第一百一十一條規定，任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或公開他人個人信息。顯然該面部識別公司嚴重違反了國家規定，并對250多萬人造成了難以彌補的損失，導致個人信息數據不受限制地被訪問。

在現如今網絡發達的大環境下，使用人臉識別就一定會產生特征數據庫，儲存在計算機內就會轉換為代碼。而代碼則面臨著被截獲、被重放、被重構等風險，那么用戶將面臨著信息泄露的風險，一旦信息泄露，其后果將不可挽回。畢竟人臉信息屬于生物數據，是不可再生的，具有唯一陛。

2.2信息售賣

據媒體調查發現，網絡商城中有商家私下售賣人臉數據照片，其數量高達17萬條，8元即可購買3萬張人臉照片。這些售賣的“人臉數據”包含多人的肖像，每個人約有50到100張照片，同時還配有一份數據文件，文件中甚至包含人臉的位置信息，人臉的106處關鍵點以及五官等的外形輪廓信息。部分商家表示，這些售賣的照片大部分并沒有取得本人同意。顯然，大多數當事人也不知道自己的人臉信息已被不法商家售賣出去。

用戶對個人信息售賣不知情一方面是因為不法人員利用不法手段，剝奪個人的選擇權和知情權，據現行刑法規定：不經同意而非法獲取，或者將合法取得的個人信息出售給第三方，此類行為均涉嫌構成侵犯公民個人信息罪;另一方面是因為用戶自身的不注重，不關注各項應用使用前的“授權同意條款”，現如今直接點擊同意已成為社會常態。

2.3信息歧視

歧視意為不平等看待，信息歧視即為對收集的信息進行不同等級的分類，并對此貼上相應的標簽。針對人臉識別技術，信息判定方法大多都是相對而言的，沒有絕對的標準。

信息歧視不僅出現在教育方面，也存在于求職、交友、工作等方面。在教育方面，各學校前赴后繼地在教室安裝攝像頭，瑞典一學校甚至對某班級試點使用人臉識別技術，收集學生課堂面部特征，以此進行學生學習行為分析、班級課堂專注度偏離分析、課堂互動和教學行為分析、課堂出勤記錄等。在求職方面，美國伊利諾伊州在2020年1月1日將正式推行人工智能視頻面試法案（Artificial Intelligence Video Interview Act），雇主在應聘者知情且同意的條件下，可基于強大的數據分析處理技術，對應聘者人臉圖像進行實時分析，進而評價應聘者的性格、情緒、心理狀態、能力，以協助雇主做出“標準化”決策。

這種方式一定程度上可以幫助使用者做出判斷，但在一定程度上也侵犯了公民的個人隱私，且同一面部特征表達的意思不是絕對的固定，而人臉識別技術算法設計是固定的，導致其存在一定的數據偏差和算法歧視，加速社會現有不平等現象的產生。

3管理現狀

人臉識別作為AI發展中一項創新的技術，主要作用為人臉識別和身份驗證，廣泛出現在社會多個領域的應用場景中，其發展實質為簡化業務步驟、豐富人們娛樂生活、加強隱私安全保障。但任何事物的發展均有兩面性，人臉識別技術亦如此，在發展過程中出現了信息泄露、信息售賣、信息歧視等問題。針對這些問題的管理現狀，本文將從國家、社會、個人三個層面進行探討。

3.1國家層面的法律規范

在信息安全管理上，國家制定相關法律法規以保障用戶的權益。2019年，國家互聯網信息辦公室發布了《數據安全管理辦法（征求意見稿）》，向社會公開征求意見，明確了個人信息和重要數據的收集、處理、使用和安全監督管理的相關標準和規范。在此基礎上，進一步制定了專門的數據安全法、個人信息保護法。目前我國已出臺相關法律以規范人臉識別技術的使用。

此外，其他國家針對人臉識別也出臺相關法律條例，如歐盟地區出臺數據保護法《通用數據保護條例》（‘GDPR），其規定面部圖像構成特殊類型個人數據下的“生物識別數據”，相較于一般個人數據應受制于更高的保護要求。美國華盛頓州發布的眾議院1493號法案（H.B.1493）對出于商業目的獲取個人生物識別數據的行為確立了通知和同意規則。

在2019年，全球范圍內因人臉識別技術涉及法律的案件就有多起：我國AI換臉軟件ZAO因涉嫌侵犯用戶隱私被工信部約談整改;Facebook因人臉識別功能面臨著高達350億美元的集體索賠;瑞典數據保護機構對當地一所學校使用人臉識別技術分析學生上課情況開出20萬瑞典克朗（約人民幣14.6萬元）的罰單等。

3.2社會層面的倫理道德

自人臉識別技術逐漸暴露出問題，社會才開始注意到信息保護的重要性。人臉信息相較于密碼具有不可復制性和唯一性，是一種生物數據，因而信息一旦被泄露、售賣將會給用戶帶來無法挽回的損失。目前社會大部分企業、商家在應用人臉識別技術之前都會遵循“告知與選擇”的原則，即用戶在被企業收集個人信息時享有告知權和選擇權。企業向用戶告知產品服務及相關隱私政策，用戶選擇是否使用該產品或服務。同時信息采集和使用普遍遵循“合法、正當、必要”的原則，即在遵守國家信息安全相關法律的基礎上，以正當的方式收集所需的信息以實現企業產品的功能，在保護個人隱私的同時維護數據安全。

3.3自身層面的意識領悟

人臉識別技術在不同領域創新應用于產品與服務。人們作為這些產品和服務的用戶，根據企業告知的相關隱私政策，有權利做出是否同意企業收集和使用個人信息的選擇。在自身權益受到損害時，小部分“強者”有能力有想法去保護自己，依據國家相關法律法規獲得相應的補償。正如11月發生的“中國人臉識別第一案”，浙江理工大學特聘副教授郭兵起訴杭州野生動物世界違反《消費者權益保護法》的第29條規定。然而社會上大多數人面對這種情況要么沉默、要么無視，自身信息安全意識十分薄弱。上述案件在被法院正式受理的同時引起了社會的廣大關注，促使更多人領悟到信息安全保護的重要性，尤其是人臉這一極為特殊敏感的信息。

4管理障礙

4.1信息保護淺易

首先是國家層面目前制定的法律法規較為淺顯，已出臺的法律基本是針對數據安全、消費者權益保護以及網絡安全等方面，還未制定出與人臉信息安全管理配套的法律法規。且人臉識別技術屬于創新型科技應用，尚處于發展上升期，因而導致目前人臉信息安全保護界限不明確，使用邊界準則制定不規范。

其次是社會各企業商家制定的信息保護準則較為淺顯，大部分服務和產品的使用建立在人臉識別的應用上，僅為推廣人臉識別技術、吸引用戶和提升行業競爭能力，卻未能尊重用戶自身的選擇，在進行信息采集和使用時也未遵循最小必要原則和風險評估原則。

最后是自身層面的安全意識較為淺顯，社會上像“中國人臉識別第一案”中的浙江理工大學特聘副教授郭兵這樣熟知法律和懂得維權的“強者”僅占小部分，大部分是“弱者”和“無知者”，他們對自身信息受到損害沒有能力也沒有想法去做任何抵抗，甚至對信息受損處于不知情的狀態。

4.2發展受限

人臉識別受限于技術的發展現狀、原始數據的偏差、大眾自身的偏見等因素。目前人臉識別技術包括人體面部圖像采集、人體面部特征提取、主成分分析、面部三維建模及模型對比。其在提取面部特征的過程中易受人臉的角度、光照、表情、年齡、化妝、遮擋、圖片質量等變化的影響，因而同一個人在不同的狀態識別出的人臉圖像具有很大差異，進而無法與原始采集信息保持一致性，造成前后數據的偏差。其次，人臉識別技術是基于大量人臉信息的統計歸類進行標簽化處理，從而依據識別的人臉信息做出“大眾化”的判斷。即人臉識別后的結果相對符合大部分人的行為信息，并非絕對符合。其標簽化的判斷方式在一定程度上增加了歧視性決策的風險，加速社會的不平等。

4.3人臉識別簡易

人臉信息相較于指紋、掌紋、虹膜、靜脈、視網膜等生物信息獲取更簡易，它是唯一在用戶未察覺的情況下就可以采集到的信息，其他生物信息均需要用戶的主動配合。因而隨著攝像技術的提升，人臉信息在遠處即可輕易獲取并識別，同時伴隨“刷臉支付”的廣泛應用，人臉作為“行走的密碼”給不法分子提供了捷徑，或將進一步助長不法分子財產盜竊和信息售賣等不良行為。

5管理趨勢

5.1法律環境規范化

由于人臉信息的特殊唯一性，國家更應制定出嚴格的法律標準以保護人臉信息的安全。正如歐盟地區出臺的數據保護法《通用數據保護條例》（‘GDPR）中規定面部圖像構成特殊類型個人數據下的“生物識別數據”，相較于一般個人數據應受制于更高的保護要求。人臉識別技術作為人工智能發展中的一項創新型技術，在我國目前正處于發展上升階段，因而我國更應創造出規范化、公開透明化的法律環境、建立健全信息監管機制以便人臉識別技術的良好發展，從而打造更好的服務型、便利型、移動型社會。

例如擴大信息監管范圍，將人臉信息依法納入隱私法范疇的個人敏感信息，國家應對各企業信息管理系統進行監控，加大信息監管力度以保護個人信息。同時用戶還應享有個人信息的刪除權、更正權、控制權和注銷權，人臉識別技術使用的選擇權和退出權。

5.2管理原則具體化

針對社會上日益顯著的信息安全管理問題，企業與商家在推廣人臉識別技術應用時，更應加強社會責任感，合法采集、使用人臉信息以保障用戶信息安全。其主要應奉行三大原則：告知與選擇原則、最小必要原則、風險評估原則。告知與選擇原則是最基本的原則，即企業應告知相關產品服務涉及的個人隱私情況，且企業提供的選擇為平等關系下的選擇，用戶選擇與否都不會影響產品服務的正常使用。最小必要原則即為在滿足產品服務功能可正常體現的條件下采集用戶信息頻率最小化，確實保障用戶信息安全。風險評估原則是最重要的原則，在信息的采集和使用方面企業應制定出相應的隱私政策，為用戶的信息“買上保險”和制定解決方案。

5.3個人主導地位強化

“你永遠也叫不醒一個裝睡的人”，這句話同樣可應用于自身防范意識的程度上。當我們擁有了法律這個鋒利的“武器”和社會這個堅固的“鎧甲”，是不是就不會面臨信息泄露、信息售賣、信息歧視等風險？答案顯然是否，人的主動性始終占領主導地位。唯有自身防范意識加強，強化自身主導地位才可能成為“中國人臉識別第一案”中郭兵教授這樣的“強者”，懂得拿起“武器”去抵抗風險、維護自身權益。

5.4區塊鏈助力網絡信任化

區塊鏈技術去中心化的特點可以用來保護用戶隱私、安全，增加系統安全性。在傳統中心化網絡系統中，黑客對一個中心節點進行攻擊便能夠摧毀整個網絡，從而竊取用戶信息。而在去中心化的區塊鏈網絡中，無中心節點可攻擊。因而將區塊鏈技術應用在監管科技領域可有助于降低信息泄露、售賣等的風險，推進網絡信任化機制的構建、打造網絡可信身份生態環境，為“弱者”織起可信任化的“外衣”。

5.5螺旋式全方位管理

人臉識別技術的創新應用在給社會發展帶來變革的同時暴露出信息安全方面的問題。針對此，邊發展邊治理的螺旋式管理思路符合創新規律和人類社會發展需要。即在人臉識別技術發展的同時，國家適時制定相應的法規進行精細化管理以規范社會發展環境;企業適時更新隱私保護準則弱化風險;個人適時關注自身權益是否受損并及時維護。總而言之，國家、社會、個人不斷調整管理信息措施，并根據發展趨勢進行更新完善。

6總結與展望

在互聯網、大數據、人工智能快速發展的條件下，信息愈加公開透明化、共享即時化，因而導致人臉識別更易面臨信息泄露、售賣、偽造和歧視的風險，迫使人們在網絡這個大環境下“裸奔”。針對這些問題，國家、企業、個人更應采取相符合的措施來保障信息安全，國家在制定法律法規規范企業人臉信息采集和使用、保障個人信息不被濫用的基礎上，嚴管信息安全問題、加大執法力度、為“裸奔”在大環境下的“弱者”鑄造武器;企業遵循合法、正當、必要的原則應用人臉識別技術，在保障個人信息安全的前提下提高企業服務能力和競爭能力，為用戶打造堅固的“鎧甲”、修筑信息安全防護線;個人加強法律維權意識，懂得有法可循、有理可依，爭做人工智能發展新時代的“強者”。

斯蒂芬·霍金教授曾警告說，人工智能將被證明“要么是發生在人類身上的最好事情，要么就是最糟糕的事情。”㈣人臉識別技術即是如此，隨著科技的發展，人臉的使用價值將進一步開發、應用領域將進一步拓展，國家、企業、個人應采取邊發展邊治理的螺旋式治理方式，緊跟科技時代發展腳步，將人臉識別技術發展為應用在人類身上的最好技術之一。